Unlearning Evaluation through Subset Statistical Independence

Il paper propone un nuovo framework di valutazione per l'apprendimento automatico basato sull'indipendenza statistica dei sottoinsiemi, che utilizza il criterio di indipendenza di Hilbert-Schmidt per verificare l'efficacia dell'oblio senza richiedere il riaddestramento di modelli di riferimento o l'accesso a etichette di supervisione.

L'essenziale

🧠 Il Problema: "Cancellare" un ricordo dal cervello di un'IA

Immagina di aver addestrato un'intelligenza artificiale (un'IA) come se fosse uno studente che ha studiato un intero libro di testo. Ora, per motivi di privacy (come il "diritto all'oblio" delle leggi europee) o per sicurezza, qualcuno ti chiede di cancellare dalla memoria dell'IA le informazioni relative a alcune pagine specifiche di quel libro.

L'obiettivo è l'"Machine Unlearning" (dimenticare le macchine): far sì che l'IA si comporti esattamente come se quelle pagine non fossero mai esistite, senza dover ricominciare a studiare tutto il libro da zero (che sarebbe troppo lento e costoso).

Il vero problema? Come fai a essere sicuro che l'IA abbia davvero dimenticato quelle pagine?
Finora, per verificare questo, gli esperti dovevano:

1. Ricominciare a studiare tutto il libro da zero (ricreando il modello) per confrontarlo.
2. O usare metodi complessi che richiedono di sapere esattamente come è stato studiato in passato.

È come se volessi controllare se un amico ha dimenticato un segreto, ma l'unico modo per farlo fosse costringerlo a ripetere tutta la sua vita da bambino per vedere se ricorda o meno. Impossibile nella vita reale!

---

💡 La Soluzione: Il "Test della Statistica Indipendente" (SDE)

Gli autori di questo paper propongono un metodo nuovo, chiamato SDE (Split-half Dependence Evaluation). Invece di guardare il modello come un tutto unico, guardano come reagisce a un gruppo di dati.

Ecco l'analogia per capire come funziona:

🎭 L'Analogia della "Festa di Compleanno"

Immagina che l'IA sia un ospite a una festa (il modello addestrato).

• I dati di addestramento (In-Training): Sono gli amici con cui l'ospite ha ballato, riso e condiviso bevande durante la festa. Hanno creato legami, ricordi condivisi e un'atmosfera specifica.
• I dati non visti (Out-of-Training): Sono estranei che non c'erano. L'ospite non ha legami con loro.

Il vecchio metodo: Chiedevi all'ospite: "Ricordi questo estraneo?" e guardavi se esitava. Ma spesso l'ospite poteva mentire o essere confuso.

Il nuovo metodo (SDE): Prendi un gruppo di persone (un sottoinsieme di dati) e le dividi in due squadre casuali, Squadra A e Squadra B. Poi chiedi all'ospite di interagire con entrambe.

1. Se il gruppo era presente alla festa (Dati di addestramento):
   Anche se dividi gli amici in due squadre, c'è un'energia nascosta che li collega. Hanno condiviso la stessa "vibrazione" durante la festa. Quando l'ospite interagisce con la Squadra A e poi con la Squadra B, il suo comportamento mostra una connessione statistica (come se sussurrasse cose simili o reagisse in modo sincronizzato). È come se sentissi che "qualcosa li unisce".

2. Se il gruppo era estraneo (Dati non visti):
   Se prendi due gruppi di estranei, non c'è nessun legame. L'ospite reagisce in modo casuale e indipendente. Non c'è "vibrazione" condivisa.

La Magia Matematica (HSIC):
Gli autori usano uno strumento matematico chiamato HSIC (un metro molto sensibile) per misurare questa "vibrazione condivisa".

• Se il metro segna un valore alto = C'è una connessione forte = Il gruppo era presente all'addestramento (non è stato dimenticato).
• Se il metro segna un valore basso (vicino allo zero) = Non c'è connessione = Il gruppo è stato dimenticato (o non era mai stato lì).

---

🚀 Perché è rivoluzionario?

1. Nessun "Ricordo" necessario: Non serve ricreare il modello da zero per fare il test. Basta guardare come il modello attuale reagisce.
2. Nessun "Detective" esterno: Non serve addestrare altri modelli complessi per spiare l'IA.
3. Funziona anche con piccoli gruppi: Anche se devi cancellare solo il 5% dei dati (una piccola fetta della torta), questo metodo è abbastanza sensibile da notare se quella fetta è ancora "appiccicosa" nel cervello dell'IA.

📊 Cosa hanno scoperto?

Hanno fatto molti esperimenti (su immagini di gatti, numeri scritti a mano, ecc.) e hanno scoperto che:

• Il loro metodo è molto più preciso dei vecchi metodi.
• Alcuni metodi che sembravano funzionare bene (perché l'IA faceva ancora buoni quiz) in realtà non avevano dimenticato affatto i dati. Il loro test ha smascherato queste "finte dimenticanze".
• Funziona anche su modelli generativi (quelli che creano immagini), non solo su quelli che classificano.

In sintesi

Immagina di voler verificare se un amico ha davvero cancellato un numero di telefono dalla sua rubrica.

• Metodo vecchio: Gli fai leggere tutta la rubrica e vedi se il numero c'è (lento e invasivo).
• Metodo SDE: Chiami il numero. Se l'amico risponde con un tono di voce che rivela una storia condivisa o una reazione specifica (la "dipendenza statistica"), allora il numero è ancora lì. Se risponde in modo freddo e casuale, allora è stato davvero cancellato.

Questo paper ci dà il modo di ascoltare il tono di voce dell'IA per sapere se ha davvero dimenticato, senza doverla costringere a ripetere tutta la sua vita.

Sommario tecnico

1. Il Problema: Valutazione dell'Unlearning Machine

L'obiettivo del Machine Unlearning è rimuovere l'influenza di specifici campioni di dati di addestramento (i dati da "dimenticare", $D_f$) da un modello già addestrato, per rispettare normative sulla privacy (come il "diritto all'oblio") o per eliminare backdoor.

La sfida principale risiede nella valutazione dell'efficacia di questo processo. Le metodologie esistenti presentano limitazioni significative:

• Riaddestramento di riferimento: Confrontare il modello "dimenticato" con un modello riaddestrato da zero (usando solo i dati rimanenti $D_r$) è il gold standard, ma è computazionalmente proibitivo e pratico solo in scenari di ricerca, non in deploy reali.
• Attacchi di Inference dell'Appartenenza (MIA): I metodi basati su MIA (Membership Inference Attacks) richiedono spesso l'accesso a statistiche interne di addestramento (come distribuzioni di loss o punteggi di confidenza), modelli "ombra" (shadow models) o etichette di supervisione. Inoltre, sono spesso inefficaci quando si valuta l'eliminazione di un intero sottoinsieme di dati (5-20%) piuttosto che singoli campioni, poiché i segnali per campione diventano statisticamente deboli dopo l'unlearning.

2. Metodologia: Split-half Dependence Evaluation (SDE)

Gli autori propongono un nuovo framework di valutazione basato sull'indipendenza statistica a livello di sottoinsieme, chiamato Split-half Dependence Evaluation (SDE).

Concetto Fondamentale

L'idea centrale è che la partecipazione all'addestramento induce dipendenze statistiche tra le rappresentazioni interne dei campioni di dati a causa degli aggiornamenti condivisi dei gradienti e della co-adattamento.

• Se un sottoinsieme di dati è stato utilizzato per l'addestramento, le attivazioni del modello su questo sottoinsieme mostreranno una forte dipendenza statistica.
• Se un sottoinsieme non è stato visto durante l'addestramento (dati fuori training), le sue attivazioni dovrebbero essere statisticamente indipendenti.

Algoritmo SDE

1. Split-half: Dato un sottoinsieme target $S$ (candidato per essere i dati da dimenticare), questo viene diviso casualmente in due metà disgiunte, $S_1$ e $S_2$, con $|S_1| = |S_2|$.

2. Misura di Dipendenza: Si calcola la dipendenza statistica tra le attivazioni del modello $h$ su $S_1$ e $S_2$ utilizzando il Criterio di Indipendenza Hilbert-Schmidt (HSIC).
   $$H(S, h) = \text{HSIC}(h(S_1), h(S_2))$$
   L'HSIC è una misura basata su kernel (tipicamente RBF) che quantifica la dipendenza tra variabili casuali; un valore vicino a zero indica indipendenza, mentre valori alti indicano forte dipendenza.

3. Test Statistico: Per stimare la distribuzione, si mescola (shuffle) $S_2$ molte volte (es. 200) e si calcola l'HSIC per ogni permutazione.

4. Valutazione dell'Unlearning: Si confronta la distribuzione $H(S_{tar}, h_{unlearned})$ del sottoinsieme target con due distribuzioni di riferimento:

   • $H(S_{IT}, h)$: Dati noti essere stati nel training (In-Training).
   • $H(S_{OOT}, h)$: Dati noti essere fuori dal training (Out-of-Training).

   L'unlearning è considerato efficace se la distanza (misurata tramite Divergenza Jensen-Shannon, JSD) tra il target e i dati Out-of-Training è minore rispetto alla distanza con i dati In-Training:
   $$D(S_{tar}, S_{OOT}, h) < D(S_{tar}, S_{IT}, h)$$

3. Contributi Chiave

• Indipendenza dal Riaddestramento: Il metodo non richiede un modello riaddestrato da zero come riferimento, rendendolo pratico per scenari reali.
• Nessun Modello Accessorio: Non necessita di addestrare classificatori ausiliari o modelli "ombra", eliminando la necessità di accedere a iperparametri o distribuzioni di dati originali.
• Approccio a Livello di Sottoinsieme: Sposta il focus dall'inferenza su singoli campioni (spesso rumorosa dopo l'unlearning) all'analisi della dipendenza collettiva di un gruppo di dati, allineandosi meglio ai flussi di lavoro pratici dell'unlearning.
• Validazione Teorica: L'analisi mostra che la dipendenza misurata deriva da un componente di influenza condivisa ($\Delta\theta_S$) introdotto durante l'addestramento, che persiste nelle rappresentazioni dei dati In-Training ma è assente per i dati Out-of-Training.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su dataset di classificazione (SVHN, CIFAR-10/100, Tiny-ImageNet) e su modelli generativi (Diffusion Models).

• Distinzione In/Out-Training: Su modelli riaddestrati (gold standard), SDE distingue con alta precisione (F1 score > 0.95) i sottoinsiemi che sono stati nel training da quelli che non lo sono, anche con piccoli sottoinsiemi di dati da dimenticare (5%).
• Robustezza: Il metodo funziona bene su diversi livelli della rete neurale (non solo l'output finale), diverse architetture (ResNet, AllCNN) e diverse dimensioni del dataset.
• Confronto con Metriche Esistenti:
  • Rispetto a metriche basate sulla distanza di distribuzione (MMD, Wasserstein), SDE mostra prestazioni superiori, specialmente con sottoinsiemi piccoli.
  • Caso Studio su Algoritmi di Unlearning: Applicando SDE a metodi popolari come Unroll, SalUn, Random-label e Sparsity:
    • Metodi come Unroll sembrano efficaci secondo le metriche tradizionali (basso ASR, alta accuratezza), ma SDE rivela che falliscono nel rimuovere l'influenza dei dati (l'OTR - Out-of-Training Rate - è quasi 0%, indicando che i dati sono ancora riconosciuti come "in-training").
    • Metodi come Random-label mostrano un'unlearning efficace secondo SDE.
• Modelli Generativi: Il metodo è stato esteso con successo ai modelli di diffusione (EDM), dimostrando la sua applicabilità anche a spazi ad alta dimensionalità.

5. Significato e Implicazioni

Questo lavoro rappresenta un cambio di paradigma nella valutazione dell'unlearning. Dimostra che le metriche attuali (basate su accuratezza o attacchi MIA su singoli campioni) possono essere fuorvianti e sovrastimare l'efficacia degli algoritmi di unlearning.

La proposta di SDE offre:

1. Un protocollo di valutazione pratico e autonomo che può essere eseguito post-hoc senza costi computazionali aggiuntivi di riaddestramento.
2. Una prova statistica rigorosa della rimozione dell'influenza dei dati, basata sulla rottura delle dipendenze interne indotte dall'addestramento.
3. Un avvertimento critico alla comunità: molti metodi di unlearning attuali potrebbero non essere efficaci come si crede, poiché lasciano tracce statistiche rilevabili a livello di gruppo, anche se i singoli campioni sembrano "puliti".

In sintesi, SDE fornisce uno strumento robusto, scalabile e teoricamente fondato per verificare il rispetto del "diritto all'oblio" nell'era dell'IA, superando le limitazioni delle metodologie di valutazione precedenti.